Managed Care of North America (MCNA) Dental a publié une notification de violation de données sur son site Web, informant près de 9 millions de patients que leurs données personnelles ont été compromises.
MCNA Dental est l’un des plus grands fournisseurs d’assurance dentaire et de santé bucco-dentaire parrainés par le gouvernement (Medicaid et CHIP) aux États-Unis.
Dans un avis publié vendredi, MCNA déclare avoir pris connaissance d’un accès non autorisé à ses systèmes informatiques le 6 mars 2023, une enquête révélant que les pirates ont eu accès au réseau de MCNA pour la première fois le 26 février 2023.
Pendant ce temps, les pirates ont volé des données contenant les informations suivantes pour près de neuf millions de patients.
- Nom et prénom
- Adresse
- Date de naissance
- Numéro de téléphone
- Numéro de sécurité sociale
- Numéro de permis de conduire
- Numéro d’identification délivré par le gouvernement
- Assurance maladie (informations sur le régime, compagnie d’assurance, numéro de membre, numéros d’identification Medicaid-Medicare)
- Soins des dents ou des appareils dentaires (visites, nom du dentiste, nom du médecin, soins antérieurs, radiographies/photos, médicaments et traitement)
- Factures et réclamations d’assurance
La notification déposée auprès du bureau du procureur général du Maine indique que la violation a touché 8 923 662 personnes, y compris des patients, des parents, des tuteurs ou des garants.
MCNA affirme avoir pris toutes les mesures appropriées pour remédier à la situation et renforcer la sécurité de ses systèmes afin d’éviter que des incidents similaires ne se reproduisent à l’avenir. Il a également contacté les autorités chargées de l’application de la loi pour aider à prévenir l’utilisation abusive des informations volées.
De plus, les avis envoyés aux personnes concernées contiennent des instructions pour recevoir 12 mois de protection gratuite contre le vol d’identité et un service de surveillance du crédit via IDX.
Cependant, toutes les personnes concernées ne recevront pas d’avis, car MCNA n’a pas d’adresse actuelle pour tout le monde ; par conséquent, l’organisation a publié un avis de remplacement sur IDX, qui restera en ligne pendant 90 jours.
Sur cet avis, les gens peuvent également trouver la longue liste de plus d’une centaine de fournisseurs de soins de santé indirectement touchés par cet incident. Cependant, il n’est pas clair si ces entités publieront des avis séparés de violation.
LockBit a revendiqué l’attaque
Le gang de rançongiciels LockBit a revendiqué la cyberattaque contre MCNA le 7 mars 2023, lorsque le groupe a publié les premiers échantillons de données volés au fournisseur de soins de santé.
LockBit a menacé de publier 700 Go d’informations sensibles et confidentielles qu’ils auraient exfiltrées des réseaux de MCNA à moins qu’ils ne soient payés 10 millions de dollars.
Le 7 avril 2023, LockBit a publié toutes les données sur son site Web, les rendant disponibles au téléchargement par n’importe qui.
Comme les données sont probablement entre les mains d’autres acteurs de la menace, tous les utilisateurs concernés doivent surveiller leurs rapports de solvabilité pour détecter toute activité frauduleuse et tout signe de vol d’identité.
De plus, les utilisateurs doivent faire attention aux e-mails de phishing ciblés qui utilisent les données divulguées pour inciter les destinataires à révéler d’autres informations sensibles, telles que les informations d’identification.